[서울=뉴스핌] 전미옥 기자 =이르면 11월부터 금융회사가 클라우드·서비스형 소프트웨어(SaaS) 등 외부 정보기술(IT) 서비스를 이용할 때 이사회가 관련 위험 관리의 최종 책임을 지게 된다. 수탁업체에 대한 정기 점검과 계약 종료에 대비한 대체 수단도 마련해야 한다.

금융감독원은 은행연합회와 금융투자협회, 생명·손해보험협회, 여신금융협회, 저축은행중앙회, 한국핀테크산업협회 등과 함께 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했다고 29일 밝혔다.

최근 금융회사의 클라우드·SaaS 이용과 정보처리 업무 위탁이 확대되면서 외부 업체의 시스템 장애나 해킹, 정보 유출이 금융회사와 소비자 피해로 이어질 가능성이 커진 데 따른 조치다.

가이드라인은 금융회사 이사회가 제3자 IT 리스크 관리의 최종 책임을 지도록 했다. 이사회는 위험 관리 정책과 감독 관련 주요 사항을 심의·의결하고, 경영진은 관련 관리 체계를 구축·시행·유지해야 한다.

경영진은 총괄관리부서를 지정해 정보처리 업무 위탁 현황을 관리하고 제3자 IT 리스크와 위탁계약의 적정성을 평가해야 한다. 금융회사는 총괄관리부서와 리스크관리부서, 내부감사부서로 구성된 '3단계 통제 체계'도 구축·운영한다.

외부 수탁업체에 대한 관리도 강화된다. 금융회사는 수탁업체의 재무 건전성과 제공 서비스, 처리 정보의 종류·건수, 암호화·통신 방식, 사고 대응 체계, 전산 설비 등을 파악하고 반기마다 한 차례 이상 관련 정보를 점검해야 한다.

금융회사 업무나 금융소비자에게 중대한 영향을 미치는 업체는 '주요 제3자'로 별도 지정해 강화된 관리 기준을 적용한다. 위험을 통제하거나 줄이기 어렵다고 판단되면 계약을 중단하거나 이사회가 계약 유지 여부를 결정해야 한다.

계약 전후 단계별 관리 절차도 마련됐다. 계약 체결 전에는 현장 실사 등을 통해 업체의 서비스 역량과 정보보호 관리체계를 검증하고, 업무 분담과 사고 발생 시 책임 관계를 계약서에 반영해야 한다.

계약 기간에는 연 1회 이상 이행 상황을 점검하고 시스템 중단에 대비한 비상대책과 백업 관리체계, 계약 종료에 대비한 출구전략을 마련해야 한다. 계약이 끝나면 정보자산 반납과 접근권한 말소, 보유정보의 완전한 파기 등을 확인한다.

주요 제3자에 대해서는 반기 1회 이상 정기적인 위험 평가를 실시하고 재해복구 훈련과 백업 관리 적정성 점검에 포함한다. 기존 업체를 대체할 수단도 미리 검토해 정기적으로 점검하도록 했다.

다만 가이드라인은 법적 의무가 아닌 자율규제 성격의 최소 기준인 '소프트 룰'로 운영된다. 금융회사는 위탁 업무의 중요도와 위험성에 따라 세부 기준을 강화하거나 일부 완화해 적용할 수 있다.

업권별 협회와 중앙회는 가이드라인을 토대로 모범규준을 제정해 오는 11월 이후 시행할 계획이다. 금융회사의 내규 반영과 조직·인력 개편 등에 필요한 준비 기간을 고려해 업권별 실제 적용 시기는 조정될 수 있다.

금감원은 향후 업권별 협회와 함께 가이드라인 이행 실태를 점검하고 미비점을 개선할 예정이다.

romeok@newspim.com